Evite la fuga de datos con la guía de configuración completa de ManageEngine DLP
Un pendrive, una pestaña personal de Gmail y una copia descuidada: así es como desaparecen la mayoría de los datos de la oficina. Los módulos DLP y Control de dispositivos de ManageEngine Endpoint Central cierran esas puertas desde una consola. Esta guía lo configura paso a paso y lo establece de manera justa: audite primero, bloquee después e informe a su personal antes de activar cualquier cosa.
🎥 Vea la configuración completa de DLP en el vídeo: cada pantalla de política, paso a paso
Todas las oficinas tienen el mismo problema silencioso. La hoja de salario se envía a casa en un pendrive. La lista de clientes se carga en una cuenta personal en la nube "solo para trabajar desde casa". Un archivo de dibujo se deja como un archivo adjunto de correo electrónico a una identificación personal. Nadie tiene la intención de hacer daño, pero los datos han desaparecido y no se puede demostrar adónde fueron. La Prevención de pérdida de datos (DLP) en ManageEngine Endpoint Central vigila exactamente estas salidas: USB y otros dispositivos periféricos, transferencias de archivos, dominios de correo electrónico, cargas e impresiones en la nube. A continuación se muestra la configuración completa en el orden en que debe realizarla un administrador cuidadoso: primero el inventario, después la auditoría y al final el bloqueo.
Endpoint Central — Where the Data Exits Are (overview)
USB and removable storageDevice Control
15+ peripheral device typesControlled centrally
Email to outside domainsDLP policy rules
Uploads to cloud storage and web appsDLP policy rules
Printing sensitive filesPrint control + logs
Every file copied to a deviceFile tracing report
Panel de descripción general basado en la lista oficial de funciones de ManageEngine. Las pantallas exactas dependen de la edición y compilación de Endpoint Central.
1
Paso 1: confirma tu edición antes de planificar
DLP y Control de dispositivos son módulos complementarios en Endpoint Central; también están incluidos en la Edición de Seguridad. Los menús difieren ligeramente entre la consola local, la consola en la nube y el producto independiente Endpoint DLP Plus, así que no copie una captura de pantalla de Internet a ciegas.
Abra su consola de Endpoint Central y verifique qué complementos de seguridad incluye su licencia
Confirme que las secciones Control de dispositivos y Endpoint DLP estén visibles; si faltan, es una cuestión de licencia, no una configuración que usted haya roto.
Asegúrese de que los agentes estén implementados y generen informes en cada computadora que planee proteger: una PC sin un agente está fuera de todas las políticas que escriba
2
Paso 2: primero haga un inventario del dispositivo
Bloquear dispositivos que nunca has contado es la forma en que los administradores bloquean al equipo de cuentas para que no pueda acceder a su propia impresora el día del salario. Comience por ver qué está realmente conectado a su red.
Ejecute los informes de acción de archivos y dispositivos en modo de solo auditoría durante unos días: todos los dispositivos están permitidos, pero se registran todas las acciones de archivos y conexiones.
Tenga en cuenta los clientes habituales: impresoras de oficina, escáneres, pendrives del equipo de cuentas, trazadores de dibujo, dongles bancarios.
Esta lista se convierte en la base de su lista de dispositivos de confianza: política escrita a partir de datos reales, no conjeturas.
3
Paso 3: cree la lista de dispositivos confiables
La lista de confianza es el corazón del control de dispositivos. Los dispositivos que contiene funcionan normalmente; todo lo demás sigue reglas estrictas. Endpoint Central también puede agregar familias enteras de dispositivos con patrones comodín.
Agregue cada dispositivo aprobado por su identidad (instancia de dispositivo/ID de hardware), no solo por el nombre del modelo.
Mantenga una lista por necesidad: un dispositivo confiable en la PC de diseño no es automáticamente confiable en el servidor
Revise la lista mensualmente. La gente se va, los pendrives se pierden y el dispositivo de confianza de ayer es el agujero de hoy
4
Paso 4: Establecer reglas de USB y periféricos por departamento
Una regla para toda la oficina es demasiado flexible para las cuentas o demasiado estricta para todos los demás. Endpoint Central controla más de 15 tipos de dispositivos (almacenamiento USB, CD/DVD, Bluetooth, dispositivos portátiles, impresoras y más) y las políticas pueden diferir según el grupo de usuarios o el grupo de computadoras.
Cuentas y sistemas de recursos humanos: almacenamiento USB bloqueado o de solo lectura, porque ahí residen los salarios y los datos personales
Equipos de diseño y sitio: transferencias permitidas a dispositivos confiables, con seguimiento de archivos activado
Recepción y PC compartidos: el perfil más estricto: allí no pertenece el pendrive personal de nadie
5
Paso 5: Agregar reglas de archivo: tipo, tamaño y destino
Las reglas del dispositivo deciden dónde puede ir un archivo. Las reglas de archivos deciden qué se puede mover. Usados juntos detienen los accidentes clásicos sin detener el trabajo real.
Establezca un tamaño máximo de archivo para transferencias a dispositivos extraíbles: una copia de seguridad de la base de datos de 2 GB no tiene cabida en un pendrive
Restrinja los tipos de archivos confidenciales y las extensiones que su oficina realmente teme perder: dibujos, hojas de cálculo de cuentas, exportaciones de bases de datos.
Utilice la política DLP para permitir correos electrónicos con archivos adjuntos solo a dominios permitidos y para detener la carga de archivos de Office a almacenamiento personal en la nube y aplicaciones web.
Active el control de impresión para datos confidenciales y mantenga registros de actividad de impresión: el papel también es un canal de fuga
6
Paso 6: active el rastreo, el seguimiento y las alertas
El bloqueo detiene la copia. El seguimiento de archivos le indica lo que ya se ha movido: qué archivo, a qué dispositivo, por qué usuario, desde qué ordenador y a qué hora. El sombreado de archivos va un paso más allá y mantiene una copia reflejada de los archivos transferidos en una ubicación segura, por lo que una investigación nunca depende de que el pendrive regrese.
Habilite el seguimiento de archivos en todos los sistemas administrados desde el primer día: es una evidencia de solo lectura, no una restricción.
Habilite el seguimiento de archivos para sus recursos compartidos más confidenciales, con filtros de tamaño y extensión para que el almacenamiento se mantenga sano
Configure alertas en tiempo real para intentos bloqueados y para anulaciones de usuarios, de modo que las excepciones le lleguen el mismo día, no en un informe mensual.
7
Paso 7: Implementación justa: audite, anuncie y luego bloquee
La configuración técnicamente perfecta sigue fallando si el personal la percibe como una trampa. El orden honesto es el que se utiliza en esta guía:
Ejecute solo auditoría durante dos a cuatro semanas y estudie los informes.
Anuncie la política por escrito: qué se bloquea, qué se registra y el motivo: datos del cliente y el deber legal de la empresa de protegerlos.
Abrir una ruta de excepción clara: acceso temporal para una necesidad genuina, aprobado y por tiempo limitado
Solo entonces pase departamento por departamento de la auditoría al bloqueo, comenzando con los datos de mayor riesgo.
🎥 Mira la configuración completa en el vídeo
El tutorial completo en pantalla (control de dispositivos, lista de confianza, políticas e informes de DLP) se encuentra en el vídeo. Mírelo antes de su reunión de implementación.
¿Se incluye DLP en todas las ediciones de Endpoint Central?
No. Device Control y Endpoint DLP son módulos complementarios y también están incluidos en Security Edition. Las pantallas de la consola que ve dependen de su licencia y de si usa la consola local o en la nube; primero verifique su licencia, exactamente como se indica en el Paso 1.
¿DLP impedirá que un empleado determinado robe datos?
Ninguna herramienta puede prometer eso y esta guía no pretenderá lo contrario. DLP cierra las salidas fáciles y cotidianas (pendrives, correo electrónico personal, cargas ocasionales a la nube) y registra lo que se mueve. Un informante decidido con la cámara de un teléfono es un problema administrativo y legal, no una configuración de software.
¿Deberíamos activar el bloqueo el primer día?
Ésa es la forma más rápida de arruinar el trabajo real y perder la confianza del personal. Primero ejecute el modo de solo auditoría, anuncie la política por escrito, abra una ruta de excepción y luego bloquee, departamento por departamento. La configuración tarda unos minutos; la justicia es lo que los hace durar.
Esta guía está basada en el vídeo ManageEngine DLP de Technical Anshu • ¿Atascado en un escalón? Pregunte en los comentarios del vídeo: las respuestas se encuentran allí.